Art. 16
Responsabilità della Commissione in qualità di responsabile del trattamento
Responsabilità della Commissione in qualità di responsabile del trattamento
In qualità di responsabile del trattamento, la Commissione ha le responsabilità elencate di seguito. La Commissione può ricorrere a terzi come sotto-responsabili del trattamento per adempiere tali responsabilità.
a)
Istituisce e mantiene un servizio di comunicazione sicura e affidabile per i punti di contatto nazionali per la sanità digitale che partecipano a LaMiaSalute@UE (MyHealth@EU) («servizio di comunicazione sicura centrale»).
b)
Configura il servizio di comunicazione sicura centrale in modo tale che i punti di contatto nazionali per la sanità digitale possano scambiarsi informazioni in maniera sicura, affidabile ed efficiente.
c)
Adotta misure volte a facilitare l’interoperabilità e la comunicazione tra il servizio di comunicazione sicura centrale e i contitolari del trattamento di LaMiaSalute@UE (MyHealth@EU).
d)
Tratta i dati personali solo su istruzione dei contitolari del trattamento di LaMiaSalute@UE (MyHealth@EU), salvo che lo richieda la legislazione cui è tenuta a conformarsi. In tal caso, la Commissione informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che tale legislazione lo vieti per rilevanti motivi di interesse pubblico. La Commissione informa immediatamente i contitolari del trattamento qualora, a suo parere, le istruzioni impartite violino le disposizioni applicabili in materia di protezione dei dati.
e)
Mette in atto le misure necessarie per garantire un livello di sicurezza dei dati personali trattati nell’ambito del servizio di comunicazione sicura che sia adeguato ai rischi. Tali misure sono documentate in un piano di sicurezza che è tenuto aggiornato. Le misure comprendono:
i)
elaborare una procedura di valutazione del rischio finalizzata a individuare e stimare potenziali minacce al sistema;
ii)
garantire che le persone autorizzate al trattamento dei dati personali siano soggette a un adeguato obbligo legale di riservatezza, come quello di cui all’ dello statuto dei funzionari delle Comunità europee, stabilito dal regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio (9), o si siano impegnate alla riservatezza;
iii)
adottare misure adeguate per garantire che il suo personale e i contraenti comprendano le proprie responsabilità in materia di sicurezza delle informazioni e di protezione delle informazioni sensibili non classificate;
iv)
applicare misure tecniche e organizzative di sicurezza per impedire l’accesso non autorizzato ai dati personali;
v)
assicurare l’integrità delle informazioni trasmesse attraverso il servizio di comunicazione sicura;
vi)
applicare, ove necessario, misure per bloccare l’accesso non autorizzato al servizio di comunicazione sicura dal dominio dei punti di contatto nazionali per la sanità digitale;
vii)
assicurare che i dati trasportati all’interno del servizio di comunicazione sicura centrale siano criptati;
viii)
adottare adeguate misure di sicurezza fisiche, tra cui:
1)
controllare l’accesso alle strutture e tenere un registro dei visitatori a fini di tracciabilità;
2)
assicurare che le persone esterne cui è consentito l’accesso ai locali siano scortate da personale debitamente autorizzato.
f)
Applica una procedura di gestione delle modifiche e tiene informati i contitolari del trattamento in merito a eventuali modifiche in grado di avere effetti sulla comunicazione con altre infrastrutture nazionali o sulla sicurezza di queste ultime.
g)
Monitora in tempo reale l’efficienza di tutte le componenti del suo servizio di comunicazione sicura, produce statistiche periodiche e conserva le informazioni.
h)
Applica procedure di audit e riesame al fine di:
i)
verificare la corrispondenza tra le misure di sicurezza applicate e il piano di sicurezza di cui alla lettera e);
ii)
controllare periodicamente l’integrità dei file di sistema, dei parametri di sicurezza e delle autorizzazioni concesse;
iii)
effettuare controlli allo scopo di rilevare violazioni della sicurezza;
iv)
apportare modifiche per ridurre le lacune esistenti in materia di sicurezza;
v)
elaborare una procedura di gestione degli incidenti di sicurezza che definisca il sistema di segnalazione e successione;
vi)
informare i contitolari del trattamento pertinenti.
i)
Pubblica sul proprio sito web informative per i pazienti sul trattamento dei dati personali in LaMiaSalute@UE (MyHealth@EU), dopo averne concordato il contenuto con i contitolari del trattamento.
j)
Assiste i contitolari del trattamento fornendo informazioni relative al servizio di comunicazione sicura di LaMiaSalute@UE (MyHealth@EU), ai fini dell’adempimento degli obblighi di cui agli articoli da 32 a 36 del regolamento (UE) 2016/679.
k)
Al termine dello scambio di dati cancella tutti i dati personali trattati per conto del titolare del trattamento e certifica a quest’ultimo di averlo fatto, a meno che la legislazione applicabile non richieda la conservazione dei dati personali.
l)
Fornisce ai contitolari del trattamento tutte le informazioni necessarie per dimostrare il rispetto dei suoi obblighi in qualità di responsabile del trattamento, consente, anche su richiesta dei titolari del trattamento, revisioni indipendenti, comprese ispezioni, e revisioni delle misure di sicurezza e contribuisce all’esecuzione di tali revisioni e ispezioni, fatto salvo il rispetto del protocollo (n. 7) del trattato sul funzionamento dell’Unione europea sui privilegi e sulle immunità dell’Unione europea.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Procelex:32026R2083#art-16